CVE-2026-32139
Açıklama
Dataease açık kaynaklı bir veri görselleştirme analiz aracıdır. DataEase 2.10.19 ve önceki sürümlerde, statik kaynak yükleme arayüzü SVG yüklemelerine izin vermektedir. Ancak arka uç doğrulaması yalnızca XML'in ayrıştırılabilir olup olmadığını ve kök düğümün svg olup olmadığını kontrol etmektedir; onload/onerror olay işleyicileri veya betik çalıştırabilen öznitelikler gibi aktif içerikleri temizlememektedir. Sonuç olarak, bir saldırgan kötü amaçlı bir SVG yükleyebilir ve ardından açığa çıkan statik kaynak URL'sini ziyaret ederek tarayıcıda betik yürütülmesini tetikleyebilir, böylece tam bir depolanan siteler arası betik çalıştırma (XSS) istismar zinciri oluşturabilir. Bu güvenlik açığı 2.10.20 sürümünde giderilmiştir.
Nasıl düzeltilir
- dataease dataease2.10.20 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dataease dataease | v < 2.10.20 | 2.10.20 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.